CVE-2026-55863
ŚrednieCVSS 5.3Streszczenie
motionEye (mEye) to interfejs online dla programu "motion", czyli systemu monitoringu wizyjnego z detekcją ruchu. W wersjach przed 0.44.0 metoda ActionHandler.post() w motioneye/handlers/action.py nie ma dekoratora BaseHandler.auth(), co pozwala nieuwierzytelnionemu zdalnemu atakującemu wysyłać żądania do /action/<camera_id>/<action>. Endpoint może wywoływać akcje snapshot, record_start i record_stop, a gdy administrator skonfigurował skrypty akcji, także sterowanie PTZ, akcje alarmowe, oświetleniowe i inne predefiniowane polecenia; skonfigurowane zdalne kamery motionEye mogą umożliwić żądania po stronie serwera do zdalnej usługi kamery. Problem naprawiono w wersji 0.44.0.
Ocena ryzyka
Nieuwierzytelniony atakujący może zdalnie wywoływać akcje kamery, w tym nagrywanie, migawki oraz skonfigurowane skrypty i polecenia, co może naruszyć prywatność i bezpieczeństwo monitoringu. W niektórych konfiguracjach możliwe jest także wywołanie żądań po stronie serwera do zdalnych kamer.
Rekomendacja
Zaktualizuj motionEye do wersji 0.44.0 lub nowszej. Do czasu aktualizacji ogranicz dostęp sieciowy do endpointu /action/ i zweryfikuj konfigurację skryptów akcji.
Inne podatności w motionEye
Zobacz wszystkie- CVE-2026-46488Krytyczne
motionEye (mEye) to interfejs online dla oprogramowania "motion", programu do nadzoru wideo z detekcją ruchu. Przed wersją 0.44.0 motionEye akceptuje kontrolowane przez klienta pliki cookie meye_username i meye_password_hash jako materiał uwierzytelniający bez walidacji sesji po stronie serwera. Nieuwierzytelniony atakujący, który zna nazwę użytkownika i odpowiadający jej hash, może ręcznie ustawić pliki cookie lub spowodować ich załadowanie, przesyłając puste poświadczenia przez przepływ uwierzytelniania switch-user, po czym serwer uwierzytelnia atakującego jako tego użytkownika. Nazwa użytkownika administratora i wartość hasha hasła są przechowywane w /etc/motioneye/motion.conf, który jest domyślnie globalnie czytelny, co pozwala lokalnemu użytkownikowi powłoki uzyskać materiał poświadczeń administratora wielokrotnego użytku. Udane podszycie się może umożliwić blokadę konta, zmiany haseł i trwałość, wyliczanie danych, niszczenie danych i eksfiltrację danych. Problem został naprawiony w wersji 0.44.0.
- CVE-2025-60787Wysokie
Podatność w MotionEye v0.43.1b4 i wcześniejszych umożliwia wstrzyknięcie poleceń systemu operacyjnego przez parametry konfiguracyjne, takie jak image_file_name. Niesanitizowane dane wejściowe użytkownika są zapisywane do plików konfiguracyjnych Motion, co pozwala zdalnym, uwierzytelnionym atakującym z dostępem administracyjnym na wykonanie kodu po ponownym uruchomieniu Motion.
Oryginalny opis (angielski, źródło NVD)
motionEye (mEye) is an online interface for a piece of software called "motion," which is a video surveillance program with motion detection. Prior to 0.44.0, the ActionHandler.post() method in motioneye/handlers/action.py lacks the BaseHandler.auth() decorator, allowing an unauthenticated remote attacker to send requests to /action/<camera_id>/<action>. The endpoint can trigger snapshot, record_start, and record_stop actions. When an administrator has configured action scripts, the same endpoint can invoke PTZ controls, alarm actions, lighting actions, and other predefined commands, and configured remote motionEye cameras can allow server-side requests to the remote camera service. This issue is fixed in version 0.44.0.